![](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/da_DK/52d714626638d3391623c853be0c593b.png)
Sikkerhed i forbindelse med bilnøgler i iOS
Udviklere kan understøtte sikre nøglefri måder at åbne en bil på fra en understøttet iPhone og et parret Apple Watch.
Pardannelse med ejerens enhed
Ejeren skal fremlægge bevis for ejerskab af bilen (metoden afhænger af bilproducenten) og kan så starte pardannelsesprocessen ved at bruge bilproducentens app via et link i en e-mail, som ejeren modtager fra bilproducenten, eller via bilens menu. I alle tilfælde skal ejeren tilføre sin iPhone en fortrolig engangsadgangskode til pardannelse, som bruges til at oprette en sikker kanal til pardannelse via protokollen SPAKE2+ med NIST P-256-kurven. Når appen eller linket i e-mailen bruges, overføres adgangskoden automatisk til iPhone, hvor den skal indtastes manuelt, når pardannelsen startes fra bilen.
Deling af nøgler
Ejerens parrede iPhone kan dele nøgler med familiemedlemmers og venners iPhone-enheder, hvis de har denne funktion (og med deres parrede Apple Watch-enheder), ved at sende en enhedsspecifik invitation via iMessage og IDS (Apple Identity Service). Alle kommandoer om deling udveksles via IDS-funktionen, der er end-to-end-krypteret. Ejerens parrede iPhone sørger for, at IDS-kanalen ikke skifter under delingsprocessen. Det sker for at forhindre videresendelse af invitationen.
Når et familiemedlem eller en ven accepterer invitationen, opretter denne persons iPhone en digital nøgle og sender certifikatkæden for nøgleoprettelse tilbage til ejerens parrede iPhone for at bekræfte, at nøglen blev oprettet på en ægte Apple-enhed. Ejerens parrede iPhone signerer den offentlige ECC-nøgle modtaget fra den iPhone, der tilhører familiemedlemmet eller vennen, og sender signaturen tilbage til denne persons iPhone. Signeringsfunktionen på ejerens enhed kræver brugergodkendelse (Face ID, Touch ID eller indtastning af kode) og en sikker hensigt fra brugerens side som beskrevet i Anvendelsesmuligheder for Face ID og Touch ID. Der anmodes om godkendelse, når invitationen sendes, og godkendelsen opbevares i Secure Element til brug, når vennens enhed sender signeringsanmodningen tilbage. Nøgletilladelserne overføres online til bilen af bilens OEM-server, eller når den delte nøgle bruges første gang til bilen.
Sletning af nøgler
Nøgler kan slettes på nøgleindehaverens enhed fra ejerens enhed eller i bilen. Sletning på nøgleindehaverens iPhone træder straks i kraft, også selvom nøgleindehaveren bruger nøglen. Der vises derefter en kraftig advarsel før sletningen. Sletning af nøgler i bilen kan være muligt på alle tidspunkter, eller kun når bilen er online.
I begge tilfælde rapporteres sletningen på nøgleindehaverens enhed eller i bilen til en nøgleopbevaringsserver hos bilproducenten, som registrerer udstedte nøgler til en bil til forsikringsformål.
Ejeren kan anmode om sletning fra bagsiden af ejerpasset. Anmodningen sendes først til bilproducenten for at fjerne nøglen i bilen. Betingelserne for, at nøglen kan fjernes fra bilen, er defineret af bilproducenten. Først når nøglen er fjernet i bilen, sender bilproducenten en ekstern anmodning om ophør til nøgleindehaverens enhed.
Når en nøgle er bragt til ophør i en enhed, opretter den miniapp, som administrerer digitale bilnøgler, en kryptografisk signeret ophørsattest, som bruges som bevis for sletningen af bilproducenten og til at fjerne nøglen fra nøgleopbevaringsserveren.
NFC-standardtransaktioner
Ved biler, der bruger en NFC-nøgle, indledes etableringen en sikker kanal mellem læseren og en iPhone ved, at der genereres et midlertidigt nøglepar på læseren og iPhone. Ved hjælp af en nøgleaftalemetode kan der dannes en nøgle (“shared secret”) på begge sider, som kan bruges til at generere en delt symmetrisk nøgle ved brug af Diffie-Hellman, en funktion til nøgleafledning og signaturer fra den langtidsholdbare nøgle, der blev fastlagt under pardannelsen.
Den midlertidige offentlige nøgle, der blev genereret på bilens side, signeres med læserens langtidsholdbare private nøgle, og resultatet er, at læseren godkendes af iPhone-enheden. Fra iPhone-enhedens perspektiv har denne protokol til formål at forhindre, at data, der hører privatlivet til, kan ses af en hacker, der opsnapper kommunikationen.
Til sidst bruger iPhone den etablerede sikre kanal til at kryptere sit offentlige nøgle-id sammen med den signatur, der er beregnet ud fra en læsers dataafledte udfordring og nogle ekstra app-specifikke data. Denne validering af iPhone-enhedens signatur fra læserens side sætter læseren i stand til at godkende enheden.
Hurtige transaktioner
iPhone genererer et kryptogram ud fra en hemmelighed, der tidligere er blevet delt under en standardtransaktion. Dette kryptogram giver bilen mulighed for hurtigt at godkende enheden i situationer, hvor ydeevnen er vigtig. Der kan desuden etableres en sikker kanal mellem bilen og enheden, ved at der afledes sessionsnøgler ud fra en hemmelighed, der tidligere er blevet delt under en standardtransaktion, og et nyt midlertidigt nøglepar. Bilens evne til at etablere den sikre kanal godkender bilen over for iPhone.
BLE/UWB-standardtransaktioner
Til biler, der bruger en UWB-nøgle, etableres en Bluetooth LE-session mellem bilen og iPhone. I lighed med NFC-transaktionen udledes en nøgle (shared secret) på begge sider, som bruges til at etablere en sikker session. Sessionen bruges derefter til at udlede og blive enige om en URSK-nøgle (UWB Ranging Secret Key). URSK overføres til UWB-radioen i brugerens enhed og i bilen med henblik på at fastlægge den præcise placering af brugerens enhed i nærheden af eller i bilen. Bilen bruger derefter enhedens placering til at tillade, om bilen må låses op eller startes. URSK’er har en foruddefineret TTL. Med henblik på at undgå afbrydelse af placeringssporing, når en TTL udløber, kan URSK’er udledes på forhånd i enhedens SE og bilens HSM/SE, mens sikker placeringssporing ikke er aktiv, men BLE er tilsluttet. Det fjerner behovet for, at en standardtransaktion skal udlede en ny URSK i en situation, hvor tiden er kritisk. Den URSK, der er udledt på forhånd, kan meget hurtigt overføres til UWB-radioen i bilen og på enheden for at undgå afbrydelse af UWB-placeringssporingen.
Anonymitet
Bilproducentens nøgleopbevaringsserver (KIS) opbevarer ikke enhedens id, SEID eller Apple-id. Den opbevarer kun et id, der kan ændres – certifikatmyndighedens instans-id. Dette id er ikke knyttet til nogen private data i enheden eller på serveren, og det slettes, når brugeren sletter sin enhed helt (ved at bruge Slet alt indhold og alle indstillinger).